2014SyScan360——浏览器Fuzzing技术

  2014年7月16日,由SyScan主办,360公司承办的SyScan360国际前瞻信息安全会议隆重召开。今天,作为本次大会的最后一天,将有更加精彩的内容呈现给与会者。据悉,今天将有6个议题逐一呈现给大家,此外也将宣布特斯拉破解的最终结果以及电子门卡的破解活动。

  上午9点来自意大利罗马的一位拥有13年IT安全领域工作经验的专家Rosario Valotta进行了有关浏览器Fuzzing技术的主题演讲。

  近年来,Fuzzing技术已被证明可以非常有效地找出网页浏览器漏洞。而在过去的一段时间,有数个有价值的Fuzzing方式和框架被开发出来,其中的一些成为标准,并被安全研究社区广泛地采用。随著浏览器厂商提供的漏洞奖金悬赏计划与0day漏洞交易市场的成长,更多研究人员加入浏览器漏洞挖掘的行列。此外,所有主流浏览器安全厂商都在他们的私有云系统中,搭建了由数千颗CPU组成的Fuzzing系统,来运行7*24小时的fuzzing任务,因此对于独立安全漏洞研究者来说,能够胜过这些漏洞挖掘巨头的办法,就是使用智能Fuzzing技术,以及关注特定的浏览器API和行为。

  在这个议题中Rosario Valotta充分说明目前对于内存破坏漏洞、浏览器模糊测试技术的概况和局限性,随后向与会者介绍了一种新的针对特定浏览器方面的Fuzzing算法,并解释其背后的工作原理,以及在使用这种方法时发现的一系列可被利用的内存破坏漏洞。

  Rosario Valotta在演讲中特别提到,为什么用fuzzing?因为大多数时候我们发现内存破坏的漏洞,为什么在软件当中我们需要有这样一些工具?因为我们看到对目标机器的控制,为什么要在浏览器上用这个fuzzing,因为现在浏览器是无处不在的。所以如果浏览器出现漏洞的话,会有成亿的人,而且会有数千万行的代码不断的加进去。

  Rosario Valotta也提到了最近几年当中很多的禁用条件,通过研究Rosario Valotta表示目前有两个来源可能会导致禁用的条件:事件和网络的互动。

  Rosario Valotta表示:“基本上浏览器都是由事件驱动的,每一个网页上引发的活动都会触发事件,当事件发生就会排队,进行依次的访问,这样就可以看到这种事件的时间管理是一个循序发生的事情,也就是触动这个事件然后进行事件排队,然后处理。”

  Rosario Valotta向与会者分享了自己的fuzzing,也将在未来一两周后公布其原型和源代码,期待更多的人一起进行研究。Rosario Valotta最后表示:fuzzing需要各种不同的平台要测试,我想要充分的利用这个网络协议堆栈来实现,还有非移动的平台,还有移动的,也希望大家都做一下测试,使用不同的API来做。此外还有一种就是跨引擎的方法在IE浏览器上面,也扩展到我们的Vbcript。

 

发表评论

邮箱地址不会被公开。 必填项已用*标注